Contrato de encargo del tratamiento — Business Edition

1. Objeto y duración

1.1 El Proveedor trata datos personales por cuenta del Cliente únicamente para prestar Trusted Codes Business Edition: un servicio de verificación que emite y comprueba códigos de acceso basados en palabras entre personas identificadas, junto con las funciones de administración de la organización, notificación y soporte descritas en la documentación del producto.

1.2 La duración del tratamiento corresponde a la duración de la suscripción del Cliente, ampliada por los plazos de supresión de la sección 10.

2. Naturaleza y finalidad del tratamiento

2.1 El Proveedor trata datos personales únicamente para:

• crear y administrar cuentas de usuario y la pertenencia a organizaciones;
• generar, distribuir y verificar códigos de acceso y el material criptográfico asociado;
• entregar notificaciones por correo electrónico y mensaje push;
• ofrecer la consola de administración, los informes y el soporte;
• proteger el servicio frente al fraude y el abuso;
• cumplir sus propias obligaciones legales.

2.2 El Proveedor no vende datos personales ni los utiliza para entrenar modelos de aprendizaje automático. El Proveedor trata los siguientes datos como responsable independiente y no por cuenta del Cliente: los datos necesarios para proteger el servicio frente al fraude y el abuso (incluida la evaluación de riesgo al iniciar sesión), los datos de facturación, los datos necesarios para cumplir obligaciones legales y las estadísticas sobre el uso del servicio. Cuando un usuario final guarda su propia clave de API para el asistente, la empresa que emitió esa clave recibe el contenido del asistente por instrucción del usuario final; esa empresa no es un subencargado del Proveedor.

3. Tipos de datos personales

3.1 Pueden tratarse las siguientes categorías:

3.2 Secretos de los códigos. Cuando la aplicación del usuario final lo admite, los secretos de los códigos se cifran en el dispositivo del usuario final para dispositivos destinatarios concretos (X25519, AES-GCM), y el Proveedor no puede descifrar esa copia. El Proveedor también trata los secretos de los códigos en los casos siguientes, en los que se cifran en reposo con AES-256-GCM bajo una clave que controla el Proveedor, custodiada en un servicio de gestión de claves de la Unión Europea separado de la base de datos, y pueden ser descifrados por los servidores del Proveedor: (a) códigos de conexión y de organización generados por el servicio; (b) generación de códigos para clientes automatizados y para la aplicación de escritorio; (c) entrega de invitaciones hasta que el dispositivo del destinatario haya recibido el secreto; (d) cuentas que utilizan la copia de seguridad de claves en el servidor; (e) cuentas de demostración.

4. Categorías de interesados

• los miembros, empleados y administradores del Cliente;
• los contactos verificados del Cliente, es decir, personas externas a las que el Cliente verifica;
• las personas invitadas por el Cliente que aún no han aceptado;
• las personas que comprueban un código emitido por el Cliente.

5. Instrucciones del responsable

5.1 El Proveedor trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente. Este contrato, las Condiciones del servicio y el uso que el Cliente hace de las funciones del producto constituyen esas instrucciones.

5.2 El Proveedor informa al Cliente sin dilación si, a su juicio, una instrucción infringe la normativa de protección de datos. El Proveedor puede suspender la ejecución de esa instrucción hasta que se resuelva la cuestión.

5.3 Cuando el Derecho de la Unión o de un Estado miembro obligue al Proveedor a tratar datos personales más allá de las instrucciones del Cliente, el Proveedor informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

5.4 Cuando los usuarios del Cliente se conectan con usuarios de servidores gestionados por otros operadores (federación), el Proveedor transmite a esos servidores, por instrucción del Cliente, los datos necesarios para esa conexión. Los demás operadores no son subencargados del Proveedor.

6. Confidencialidad

6.1 El Proveedor garantiza que toda persona autorizada a tratar los datos personales está sujeta a una obligación de confidencialidad, contractual o legal, y que dicha obligación subsiste tras el fin de su relación.

6.2 El acceso se limita a las personas que lo necesitan para prestar el servicio o para cumplir una obligación legal.

7. Seguridad del tratamiento (artículo 32 del RGPD)

7.1 El Proveedor aplica las medidas técnicas y organizativas descritas en el anexo 1. El Cliente ha revisado esas medidas y las considera adecuadas al riesgo.

7.2 El Proveedor puede modificar las medidas siempre que no se reduzca el nivel de protección.

8. Subencargados

8.1 El Cliente otorga autorización general para la contratación de subencargados. La lista vigente es el anexo 2 y se publica además en su propia página, de modo que pueda fecharse y sustituirse con independencia de este contrato.

8.2 El Proveedor informa al Cliente al menos 30 días antes de que un nuevo subencargado comience a tratar datos o de que se sustituya uno existente. El aviso se da por correo electrónico al contacto administrativo del Cliente y mediante la actualización de la lista publicada.

8.3 El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si las partes no resuelven la objeción, el Cliente puede resolver la suscripción afectada, con reembolso del periodo prepagado no utilizado.

8.4 El Proveedor impone contractualmente a cada subencargado obligaciones de protección de datos no menos protectoras que las de este contrato, y sigue siendo plenamente responsable ante el Cliente de la actuación de ese subencargado.

9. Asistencia al responsable

9.1 Derechos de los interesados. Teniendo en cuenta la naturaleza del tratamiento, el Proveedor asiste al Cliente mediante medidas técnicas y organizativas apropiadas para atender las solicitudes previstas en el capítulo III del RGPD. El producto ofrece funciones de exportación y supresión que permiten al Cliente responder a la mayoría de las solicitudes sin recurrir al Proveedor. Cada usuario final también puede exportar en el producto sus propios datos personales.

9.2 El Proveedor traslada al Cliente, sin dilación indebida, cualquier solicitud que reciba directamente de un interesado relativa a los datos del Cliente, y no la responde por sí mismo salvo obligación legal o instrucción.

9.3 Violación de la seguridad de los datos personales. El Proveedor notifica al Cliente sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de una violación de la seguridad que afecte a los datos del Cliente. La notificación describe la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

9.4 El Proveedor asiste al Cliente en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas conforme a los artículos 35 y 36 del RGPD, en la medida en que la información esté a disposición del Proveedor y no del Cliente.

10. Supresión y devolución

10.1 Los administradores del Cliente pueden exportar los datos de la organización mediante la función de exportación del producto durante toda la suscripción y durante los 30 días siguientes a la terminación. Cada archivo de exportación puede descargarse durante 7 días desde su creación. Si tras la terminación el Cliente no dispone de la función de exportación, el Proveedor facilita la exportación previa solicitud dentro de esos mismos 30 días.

10.2 Transcurrido ese plazo, el Proveedor suprime los datos personales en un plazo adicional de 60 días, incluidas las copias de seguridad conforme al ciclo de rotación de copias, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos.

10.3 Los registros de facturación se conservan durante el plazo legal de conservación previsto en el Derecho mercantil y fiscal alemán.

11. Auditoría

11.1 El Proveedor pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD.

11.2 El Proveedor cumple las obligaciones de auditoría, en primer término, aportando documentación, incluidos este contrato, el anexo 1, la lista de subencargados y cualquier certificación o informe de tercero del que disponga.

11.3 Cuando esa documentación no sea suficiente, el Cliente puede realizar una auditoría, o encargarla a un auditor independiente que no sea competidor del Proveedor, con sujeción a: preaviso razonable de al menos 30 días, no más de una vez por año natural salvo tras una violación de la seguridad de los datos personales, realización en horario laboral normal, ausencia de perturbación del servicio y compromiso escrito de confidencialidad. El Cliente asume sus propios costes.

12. Transferencias internacionales

12.1 Algunos subencargados están establecidos fuera del Espacio Económico Europeo, según se indica en el anexo 2.

12.2 Para cada una de esas transferencias el Proveedor se ampara en las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión 2021/914), junto con las medidas complementarias descritas en el anexo 1. Cuando el destinatario esté cubierto por una decisión de adecuación, el Proveedor puede ampararse en ella.

12.3 El Proveedor elige una región de despliegue europea cuando el subencargado ofrece alguna.

13. Responsabilidad y disposiciones finales

13.1 La responsabilidad se rige por las Condiciones del servicio. El artículo 82 del RGPD no se ve afectado.

13.2 Cuando las Condiciones del servicio y este contrato entren en conflicto sobre el tratamiento de datos personales, prevalece este contrato.

13.3 El Proveedor puede modificar este contrato cuando lo exija la ley o un cambio del servicio. Las modificaciones sustanciales se notifican con al menos 30 días de antelación. Si el Cliente se opone, puede resolver la suscripción afectada con reembolso del periodo prepagado no utilizado.

13.4 Se aplica el Derecho alemán. El fuero es Múnich, en la medida en que la ley permita elegirlo.

13.5 Si alguna disposición es inválida, el resto sigue en vigor.

Anexo 1 — Medidas técnicas y organizativas

Anexo 2 — Subencargados

Esta lista se publica además en su propia página: trusted.codes/legal/subprocessors, donde lleva su propia fecha y se sustituye con independencia de este contrato.

Actualizada a 2026-10-01

Registro de aceptación

El Proveedor registra, para cada aceptación: el usuario que acepta, la organización, el identificador y la versión del documento, la fecha y la hora, la dirección de origen y la identificación del cliente.

El Cliente puede recuperar en cualquier momento la versión exacta que aceptó, en la dirección versionada que figura en la parte superior de esta página. El identificador de versión no depende del idioma leído: las seis traducciones de este texto son la versión 2026-10-04.

Cuando las partes celebren en su lugar un contrato negociado o firmado, el registro guarda una referencia a ese documento y marca el origen como offline.

Contrato negociado o firmado

Un cliente cuyo departamento jurídico necesite un documento negociado o contrafirmado puede solicitarlo en privacy@trusted.codes. Aceptar este contrato permanente no supone renunciar a esa solicitud, y la solicitud no tiene que resolverse antes de contratar una suscripción: mientras tanto rige este contrato permanente, y un documento negociado lo sustituye desde la fecha en que ambas partes lo firmen.